VIRUS INFORMATICO

VIRUS INFORMATICO

QUÉ ES UN VIRUS

Es un pequeño programa escrito intencionalmente para instalarse en la computadora de un usuario sin el conocimiento o el permiso de éste. Se dice que es un programa parásito porque ataca a los archivos o sector de arranque (boot sector) y se reproduce a sí mismo para continuar su esparcimiento.

Existen ciertas analogías entre los virus biológicos y los informáticos: mientras los primeros son

agentes externos que invaden células para alterar su información genética y reproducirse, los

segundos son programas-rutinas, en un sentido más estricto, capaces de infectar archivos de

computadoras y reproducirse una y otra vez cuando se accede a dichos archivos, por lo que dañan la información existente en la memoria o en alguno de los dispositivos de almacenamiento de la computadora. Tienen diferentes finalidades: algunos sólo “infectan”, otros alteran datos, otros los eliminan y algunos sólo muestran mensajes. Pero el fin último de todos ellos es el mismo: PROPAGARSE. Es importante destacar que el potencial de daño de un virus informático no depende de su complejidad sino del entorno donde actúa.

Un virus es un programa que cumple las siguientes pautas:

·  Es muy pequeño.

·  Ejecutable o potencialmente ejecutable.

·  Se reproduce a sí mismo.

·  Toma el control o modifica otros programas.

·  Convierte otros objetos ejecutables en clónicos víricos.

Cómo trabaja un virus

Por lo general, los virus se encuentran en la parte final del programa para infectarlo; es decir,

modifican su correcto funcionamiento y por supuesto, incrementan el tamaño de éste. Son pequeños pedazos de código que por sí solos no significan nada, por lo que deben encontrar un lugar donde puedan reproducirse para así continuar su ciclo de vida. El lugar donde pueden reproducirse es en el sector de arranque, en los programas ejecutables o en ambas partes. Otros programas considerados como virus son los macrovirus los cuales infectan archivos de información; la aparición de éstos generó alarma en los ámbitos de seguridad informática, puesto que rompían una parte del paradigma establecido en el cual los archivos que podían ser infectados por virus eran solamente los ejecutables o potencialmente ejecutables (.EXE, .COM, .BAT, .PIF, .SYS, etc.). En la actualidad la mayoría de los macrovirus están escritos con el lenguaje de programación de macros del Microsoft Office para Windows (recordemos que el Word Basic es un subconjunto del lenguaje Visual Basic) y pueden ser desarrollados para cualquiera de sus aplicaciones (Word, Excel y Access). Los macrovirus cumplen también con la norma D.A.S. (Daño, Autorreproductores y Subrepticios).

Propiedades de los virus

Además de la característica principal de estos programas, que es su facultad de duplicación, existen otras particularidades de los virus, como son las siguientes:

Modifican el código ejecutable: aquí aparece el adjetivo “contagio”. Para que un virus contagie a otros programas ejecutables, debe ser capaz de alterar la organización del código del programa que va a infectar.

Permanecen en la memoria de la computadora: cuando un usuario, inocente de las consecuencias, ejecuta en su computadora un programa con virus, éste se acomoda en la memoria RAM, con objeto de adueñarse de la computadora, y por así decirlo, tomar el mando.

Se ejecutan involuntariamente: un virus sin ejecutar es imposible que dañe una computadora. En ese momento está en reposo, en modo de espera, necesitando de alguien que ejecute el programa “portador”.

Funcionan igual que cualquier programa: un virus, al ser un programa de computadora, se

Comporta como tal, en ese sentido necesita de alguien que lo ponga en funcionamiento, si no, es

software que estará solamente almacenado en un dispositivo magnético.

Es nocivo para la computadora: esto depende del virus con el que tratemos. Podemos

encontrarnos con programas que destruyen parcial o totalmente la información, o bien programas que tan solo presentan un mensaje continuo en pantalla, el cual aunque no hace daño al final es muy molesto.

Se ocultan al usuario: claramente, el programador del virus desea que el usuario no lo advierta

durante el máximo tiempo posible, hasta que aparece la señal de alarma en la computadora.

Conforme pasa el tiempo, los virus van generando más y mejores técnicas de ocultamiento, pero

también se van desarrollando los programas antivirus y de localización.

Orígenes

Los virus tienen la misma edad que las computadoras. Ya en 1949 John Von Neumann, describió programas que se reproducían a sí mismos en su libro “Teoría y Organización de Autómatas Complicados”. Es hasta mucho después que se les da el nombre de virus.

Antes de la explosión de la microcomputación se decía muy poco de ellos. Por un lado, la

computación era secreto de unos pocos; por otro lado, las entidades gubernamentales, científicas o militares, que vieron sus equipos atacados por virus, se quedaron calladas, para no demostrar la debilidad de sus sistemas de seguridad, que costaron millones, al bolsillo de los contribuyentes. Las empresas privadas como bancos, o grandes corporaciones, tampoco podían decir nada, para no perder la confianza de sus clientes o accionistas. Lo que se sabe de los virus desde 1949 hasta 1989, es muy poco. Se reconoce como antecedente de los virus actuales, un juego creado por programadores de la empresa AT&T, quienes desarrollaron la primera versión del sistema operativo Unix, en los años 60. Para entretenerse y como parte de sus investigaciones, crearon un juego, llamado “Core War”, que tenía la capacidad de reproducirse cada vez que se ejecutaba. Este programa tenía instrucciones destinadas a impedir el correcto funcionamiento de la memoria.

Al mismo tiempo, elaboraron un programa llamado “Reeper”, el cual destruía las copias hechas

Por Core Ware, un antivirus o antibiótico, en nuestra terminología actual. Conscientes de lo

Peligroso del juego, decidieron mantenerlo en secreto y no hablar más del tema. No se sabe si esta decisión fue por iniciativa propia o por órdenes superiores.

En 1982, los equipos Apple II comenzaron a verse afectados por un virus llamado “Cloner” que

Presentaba un mensaje en forma de poema.

Al año siguiente, 1983, el Dr. Ken Thomson, uno de los programadores de AT&T, que trabajó

En la creación de “Core War”, rompió el silencio acordado, y dio a conocer la existencia del

Programa, con detalles de su estructura, en una conferencia ante la Asociación de Computación.

La Revista Scientific American a comienzos de 1984, publicó la información completa sobre

Esos programas, con guías para la creación de virus. Éste es el punto de partida de la vida pública de estos aterrantes programas, y naturalmente de su difusión sin control, en las computadoras personales.

Por esa misma fecha, 1984, el Dr. Fred Cohen hace una demostración en la Universidad de

California, presentando un virus informático residente en una PC. Al Dr. Cohen se le conoce

Actualmente, como “el padre de los virus”. Paralelamente aparece en muchas PC´s un virus, con un nombre similar a Core War, escrito en Small-C por un tal Kevin Bjorke, que luego lo cede a

Dominio público. ¡La cosa comienza a ponerse caliente!

El primer virus destructor y dañino plenamente identificado que infecta muchas PC's aparece en

1986. Fue creado en la ciudad de Lahore, Paquistán, y se le conoce con el nombre de BRAIN. Sus autores vendían copias pirateadas de programas comerciales como Lotus, Supercalc o Wordstar por sumas bajísimas. Los turistas que visitaban Paquistán, compraban esas copias y las llevaban de vuelta a los Estados Unidos de Norteamérica. Las copias pirateadas llevaban un virus. Fue así, como infectaron mas de 20 mil computadoras. Los códigos del virus Brain fueron alterados en los Estados Unidos, por otros programadores, dando origen a muchas versiones de éste, cada una de ellas peor que la precedente. Hasta la fecha nadie estaba tomando en serio el fenómeno, que comenzaba a ser bastante molesto y peligroso.

Comienza la lucha contra los virus

En 1987, los sistemas de correo electrónico de la IBM, fueron invadidos por un virus que

Enviaba mensajes navideños y que se multiplicaba rápidamente. Ello ocasionó que los discos duros se llenaran de archivos de origen viral, y el sistema se fuera haciendo lento, hasta llegar a

Paralizarse por mas de tres días. El problema había llegado demasiado lejos y el Big Blue puso de inmediato a trabajar en los virus a su Centro de Investigación Thomas J. Watson, de Yorktown Heights, NI.

Las investigaciones del Centro T. J. Watson sobre virus, fueron puestas en el dominio público

por medio de reportes de investigación, editados periódicamente, para beneficio de investigadores y usuarios.

El virus Jerusalem, según se dice creado por la Organización de Liberación Palestina, es

Detectado en la Universidad Hebrea de Jerusalem a comienzos de 1988. El virus estaba destinado a aparecer el 13 de mayo de 1988, fecha del 40 aniversario de la existencia de Palestina como nación. Una interesante faceta del terrorismo, que ahora se vuelca hacia la destrucción de los sistemas de cómputo, por medio de programas que destruyen a otros programas.

El 2 de noviembre de 1988, dos importantes redes de Estados Unidos se ven afectadas

Seriamente por virus introducidos en éstas. Más de seis mil equipos de instalaciones militares de la NASA, universidades y centros de investigación públicos y privados se ven atacados.

Para 1989 la cantidad de virus detectados en diferentes lugares sobrepasa los 100, y la epidemia

Comienza a crear situaciones graves. Una de las medidas tomadas para tratar de detener el avance de los virus, es llevar a los tribunales a Robert Morís Jr. acusado de ser el creador de un virus que infectó a computadoras del gobierno y empresas privadas. Al parecer, este muchacho conoció el programa Core Ware, creado en la AT&T, y lo difundió entre sus amigos. Ellos se encargaron de diseminarlo por diferentes medios a redes y equipos. Al juicio se le dio gran publicidad, pero no detuvo a los creadores de virus. La cantidad de virus que circula en la actualidad es desconocida.

Ciclo de vida de los virus

Los virus son creados por un programador y colocados en programas ejecutables, de esta forma

el contagio se inicia por uso de estos programas infectados. La forma de transmisión se realiza por medio de programas, usuarios, computadoras o red, si las condiciones son propicias como sería la utilización del programa en una fecha determinada. Por último, algunos programas de virus se modifican a sí mismos para no ser detectados.

2. CLASIFICACIÓN DE LOS VIRUS

Se intentará presentarle las ramas de esta gran familia, atendiendo a su técnica de

Funcionamiento:

·  Bug-ware

Son programas totalmente legales que realizan una serie de tareas concretas, por ejemplo,

Probadores de hardware o incluso antivirus. Si no se conoce bien su manejo, o tienen una

Programación complicada, pueden producir daños al hardware de la computadora o al software.

Durante el año 1989 existieron muchas denuncias por parte de los usuarios en el sentido de que

Había aparecido un virus que actuaba en el procesador de textos Wordperfect. Llegó a dársele

Incluso un nombre: el virus WP. Más tarde se comprobó que las fallas eran debidas a la ignoranciade los usuarios, que llenaban la RAM de cadenas sueltas, por no conocer bien el manejo del programa. Es bien sabido que la computadora es el aparato tecnológico que más averías reales o aparentes recibe por la negación de sus dueños a leer el manual.

Queremos decir con esto, que los bug-ware no son virus. Parecen, pero no lo son. En un 90% de

los casos, el virus es el mismo usuario.

·  Caballo de Troya

Es llamado como el caballo de Troya de la mitología griega. Los antiguos griegos eran incapaces de derrotar al ejército de Troya debido, entre otras razones, a las superiores capacidades tácticas y de combate del ejército troyano. Tras una larga y sangrienta batalla, el ejército griego parecía estar derrotado y retiró sus fuerzas. Después apareció un magnífico caballo de madera a las puertas de Troya, presumiblemente una oferta de paz del ejército griego a los ciudadanos de Troya. Se abrieron las puertas

de Troya y el caballo de madera fue introducido para que todos lo vieran. La comunidad se regocijó con su victoria sobre los griegos.

Cuando cayó la noche y continuaban los festejos, un contingente de guerreros griegos salió del

Caballo de madera a través de una escotilla situada en el fondo y se abrió paso hasta las puertas de la ciudad. Los guerreros griegos abrieron las puertas e hicieron señales a los barcos que aguardaban.

El ejército griego, con el elemento de la sorpresa de parte suya, invadió Troya y redujo a cenizas la ciudad.

Un caballo de Troya parece ser una aplicación inocente y útil que luego se revela como maligna.

No hay nada que impida que se sigan realizando las misiones “benignas” de la aplicación original.

Lo que sucede es que alguien ha desensamblado el original y ha añadido unas instrucciones de su colección. Una gran cantidad de virus informáticos en las primeras épocas se “incubaban” en una primera fase como caballos de Troya. Hoy en día a este tipo de programas los llamamos droppers o gérmenes. De todas formas, salvo en casos mixtos un caballo de Troya no se puede reproducir; su reproducción es la propia copia del programa por parte del usuario, así, depende totalmente del elemento sorpresa para actuar, y una vez localizado... la justicia se presenta bajo la forma de la orden DELETE del MS-DOS. Respecto a los programas inocentes que producen daños en la computadora, hablaremos de “Los doce del patíbulo (The dirty dozen)” y del “Hacked Report”, por ello para evitar inconvenientes con estos programas, lo mejor que puede hacer es no piratear.

·  Camaleón

Es un primito del caballo de Troya. Actúa como un programa parecido a otro de confianza, pero

Produciendo daños. La diferencia está en que el programa no se basa en uno ya existente, sino que diseña otro completamente nuevo. Esta técnica se utiliza, no en programas comerciales, sino en aplicaciones concretas. Bien programados son difíciles de eliminar pues reproducen fielmente al programa al que imitan. Un programa camaleón puede utilizarse, por ejemplo, para desviar los céntimos de las transacciones bancarias a una cuenta determinada; en este caso, lo mejor que puede hacer ante este tipo de técnica es... llamar a la policía.

·  Bombas lógicas

Actúa según un determinado tipo de condiciones técnicas. Imagine un virus que se haga presente

Cuando por ejemplo, haya un determinado número de megas ocupados en el disco duro; no suelen ser autorreproductores, ni se propagan de una computadora a otra. Es interesante observar la filosofía con la que están diseñados, en la cual existe un segmento de código maligno dentro de un programa aparentemente normal, que se mantiene latente sin ser detectado durante un tiempo determinado.

·  Bomba de tiempo

Parecido al anterior. Se conocen dos versiones: la que actúa en determinadas fechas, como un

Viernes 13, o la que se activa tras una serie determinada de ejecuciones. Un ejemplo de esto sería también el virus del moroso, si una empresa no paga un programa legal, se activa el virus.

·  Joke-program

Ahora ya no se les ve mucho. Eran virus (se reproducían e infectaban) pero no producían

Realmente daños a la computadora, simplemente eran molestos. Seguro que le suena el Virus de la Galleta, o el Come-come, o el de la Cadena... Su época pasó, porque estaban diseñados en 8086 y con la aparición del 80286 se les acabaron los buenos tiempos. La fabricación de Joke-programs es el primer paso de un programador en el camino hacia los virus.

·  Conejo

También conocido como “Peste”. En una red se puede dar un tipo determinado de trabajo que

Denominamos “multitarea”, consiste en que las distintas órdenes (correo, impresiones,

Compilaciones...) siguen un orden determinado formando lo que conocemos como una “cola”. De esa forma se ejecuta primero una, luego otra, y así sucesivamente mientras las que no se están ejecutando permanecen en la “cola” en una especie de lista de espera. Dentro de una red se pueden especificar preferencias para determinados usuarios que se saltan la “cola” por encima de otros. Se puede dar el caso de que un alumno fabrique un programa para evitar todo lo anterior. Cuando le llegue el turno, su programa se dedicará a reproducirse de forma infinita, colapsando la red, y por lo tanto evitando cualquier posible preferencia de otro usuario; esto sería un programa.

conejo. La mayoría se autodestruyen una vez que han actuado.

Arturo Hernández Hernández

·  Gusanos

No son exactamente virus informáticos, pero se les confunde frecuentemente con ellos, incluso

En algunos casos se ha llegado a utilizar esta denominación como sinónimo de virus. Se dan en

Redes, de tal forma que se trasladan de una a otra terminal, se reproducen sólo si es necesario para el trabajo para el cual sido diseñados. Viajan a través de una red reuniendo información (contraseñas, direcciones, documentos...); también dejan mensajes, en su mayoría burlones, antes de desaparecer.

No es raro que borren toda clase de vestigio de su paso por la red para no ser detectados por los

operadores de sistema. De hecho, creemos que ya casi no se diseñan.

·  Leapfrog o “Rana”

Es un programa parecido al Gusano que a partir de una serie de datos conocidos, como la clave

de acceso a una cuenta y el nombre de usuario, se dedica a recopilar información reservada. No

tiene porque destruirse luego.

·  Máscara

Este programa asume la identidad de un usuario autorizado y realiza así las mismas labores del

anterior, en realidad se considera una variante.

·  Mockinbird

Espera en un sistema de forma latente, interceptando las comunicaciones en el proceso de login

o entrada. En ese momento se mete en la cuenta y comienza a actuar sin interferir en las

operaciones lícitas que se estén realizando.

·  Spoofing

Una variación del anterior, observa lo que hace el usuario y lo repite de forma maliciosa

buscando el bloqueo del sistema.

·  Virus

Básicamente, y sin entrar en más explicaciones, todo aquel programa que modifica

maliciosamente a otro colocando una copia de sí mismo dentro de éste. Existen varias técnicas para conseguir esto:

a) Stealth

Normalmente un virus realiza cambios al ejecutar su código, así puede ser detectado por un

antivirus. Sin embargo, un virus puede camuflar dichos cambios para evitar la detección; en este

caso el virus debe permanecer residente en memoria. Por supuesto, esto lo convierte en detectable por otros medios, pero no muy complicados. Un ejemplo claro de este tipo de virus es el veterano

Brain. Para evitar problemas en la detección conviene utilizar previamente un disco o discos de

sistema originales y, por supuesto, protegidos contra escritura. Asimismo, es recomendable emplear

programas-herramienta originales y protegidos hasta la total erradicación del virus. De todas

formas, un Stealth poderoso es difícil de diseñar, pues sólo alcanza su máxima efectividad cuando está activo en memoria.

b) Tunnelling

Es una técnica que surgió de los anteriores. Para hacer fácil la explicación, podríamos decir que

el virus averigua los puntos de vigilancia (interrupciones) que controla el antivirus y “pasa”

tranquilamente por delante del sistema de defensa utilizando puntos (llamadas o funciones) no

vigilados. Desde el punto de vista del programador, requiere conocimientos amplios de

ensamblador.

c) Polimórfico

Cuando intentamos acabar con un virus, debemos vigilar todos los posibles lugares donde éste

pueda esconderse. Llamamos a todo programa que cumpla con esta vigilancia “escáner”. Un virus polimórfico intenta escapar del escáner produciendo variadas copias totalmente operativas de sí mismo. Un método por ejemplo, es hacer una encriptación del código con una variación de los signos (leyendo un desplazamiento fijo en la tabla de Ascii). Otro método es producir varias rutinas de encriptación siendo sólo una visible (descriptor) en algún instante determinado. De hecho, más que un virus, es una técnica de encriptación. Actualmente, hay polimórficos muy sofisticados. El Tremor admite casi seis millones de variaciones.

Un virus bastante sofisticado de este tipo es el V2P6 del MSDOS, que varía la secuencia de

instrucciones de sus copias con “basura” a la cabecera del virus (instrucciones de No Operación, o una instrucción que cargue un registro no usado con un valor arbitrario, mover 0 a A...). Por ello, el antivirus debe ser capaz de detectar una cadena muy concreta del virus. Existen también los MtE o compilador de polimórficos. En realidad no es un virus, sino un código que “muta” a otros virus que pasen por delante de él. Si la computadora está limpia no causa ningún daño.

La aparición de estos virus puso las cosas un poco difíciles a los antivirus entonces existentes,

por la obligatoriedad de ser muy precisos en la detección.

d) Annored

Usan trucos especiales para hacer la búsqueda, desensamblaje y lectura de su código más difícil.

Un buen ejemplo es el virus Whale (Ballena).

e) Companion (spawning)

Algunos no los consideran exactamente como virus, porque no se unen a un código de programa. Se aprovechan de una particularidad del MS-DOS hacia los ejecutables. En MS-DOS existen tres tipos de

ejecutables: EXE, COM y BAT. Jerárquicamente un BAT se ejecuta con preferencia sobre un COM y éste sobre un EXE. Así se evitan problemas en caso de que aparezcan, por ejemplo, un WP.COM y un WP.BAT a la vez. Este tipo de virus, si ve que el programa se llama, por ejemplo, PEPE.EXE, crea un PEPE.COM dentro del cual va el código maligno. No son muy molestos y para eliminarlos basta con borrar el archivo del virus.

indicios de aviso de los virus informáticos

La siguiente es una lista de indicios comunes de avisos de virus informáticos:

·  Las operaciones informáticas parecen lentas.

·  Los programas tardan más de lo normal en cargarse.

·  Los programas acceden a múltiples unidades de discos cuando antes no lo hacían.

·  Los programas dirigen los accesos a los discos en tiempos inusuales o con una frecuencia

mayor.

·  El número de sectores dañados de disco aumenta constantemente.

·  Los mapas de memoria (como la orden MEM del DOS 4.0) revelan nuevos programas TSR

(residentes en memoria) de origen desconocido.

·  Programas que normalmente se comportan bien, funcionan de modo anormal o caen sin

motivo.

·  Los programas encuentran errores donde antes no los encontraban.

·  Programas aparentemente benignos, de «travesuras» divertidas se materializan

misteriosamente y nadie reconoce haberlos instalado. Por ejemplo, agujeros negros, pelotas

que rebotan, caras sonrientes o caracteres alfabéticos «lluviosos» empiezan a aparecer en la

pantalla.

·  Desaparecen archivos misteriosamente.

·  Los archivos son sustituidos por objetos de origen desconocido o por datos falseados.

·  Nombres, extensiones, fechas, atributos o datos cambian en archivos o directorios que no han

sido modificados por los usuarios.

·  Aparecen archivos de datos o directorios de origen desconocido.

·  CHECKUP (u otro sistema de detección de virus) detecta cambios en objetos estáticos

(archivos). Los cambios detectados en objetos dinámicos (archivos que se espera que

cambien periódicamente, como archivos de datos de documento y de hojas de cálculo) no son

necesariamente indicios de actividades víricas.

·  Cambios en las características de los archivos ejecutables. Casi todos los virus de archivo,

aumentan el tamaño de un archivo ejecutable cuando lo infectan. También puede pasar, si el

virus no ha sido programado por un experto (típico principiante con aires de hacker), que

cambien la fecha del archivo a la fecha de infección.

·  Aparición de anomalías en el teclado. Existen algunos virus que definen ciertas teclas, las

cuales al ser pulsadas, realizan acciones perniciosas en la computadora. También suele ser

común el cambio de la configuración de las teclas, por la del país donde se programó el virus.

·  Aparición de anomalías en el video. Muchos de los virus eligen el sistema de video para

notificar al usuario su presencia en la computadora. Cualquier desajuste de la pantalla o de

los caracteres de ésta, nos puede notificar la presencia de un virus.

·  Se modifican el Autoexec.bat y el Config.sys. En ciertas ocasiones, los virus modifican dichos

archivos para adaptarlos a su presencia, al igual que las aplicaciones de software.

·  Reducción del tamaño de la memoria RAM. Un virus, cuando entra en una computadora,

debe situarse obligatoriamente en la memoria RAM, y por ello ocupa una porción de ella. Por

tanto, el tamaño útil operativo de la memoria se reduce en la misma cuantía que tiene el

código del virus.

·  Desaparición de datos. Esto es consecuencia de la acción destructiva para la que son creados

casi todos los hermosos virus. Depende de la maldad del virus si se borran con la orden DEL,

o mediante el uso de caracteres basura, lo que hace imposible su recuperación.

·  El disco duro aparece con sectores en mal estado. Algunos virus usan sectores del disco para

camuflarse, lo que hace que aparezcan como dañados o inoperativos.

·  Aparición de mensajes de error inesperados. Lo más normal, es que en ciertos virus, el

sistema operativo produzca errores inusuales, cosa que debe alertar al usuario.

·  Reducción del espacio disponible del disco. Ya que los virus se van duplicando de manera

continua, es normal pensar que esta acción se lleve a cabo sobre archivos del disco, lo que

lleva a una disminución del espacio disponible por el usuario.

3. MÉTODOS DE PREVENCIÓN

Aunque las defensas técnicas son determinantes para combatir a los virus de las computadoras en el ambiente moderno, la historia ha demostrado que ningún método técnico por sí solo, es efectivo para proteger la información. Los sistemas son usados por personas, quienes deben tomar decisiones acerca de qué métodos utilizar y cómo emplearlos. En las defensas no técnicas, nos referimos a las políticas y procedimientos relacionados con la conducta humana, a las limitaciones de las técnicas debido al uso que hacemos de éstas, y a las acciones legales como castigo, disuasión y compensación.

3.1 Utilización en común limitada

La utilización en común limitada es una defensa técnica y de procedimiento porque en la gran

mayoría de los ambientes de computación modernos, los usuarios hacen uso de información aunque las defensas técnicas traten de impedirlo. Por otra parte, muchas organizaciones emplean formas no técnicas de utilización en común limitada, sin proporcionar capacidades técnicas para hacer cumplir la política.

La utilización en común limitada restringe de manera efectiva la diseminación de los virus, si se usa de manera adecuada, pero casi ninguna organización lo efectúa de esta manera.

Aislamiento durante el ataque

Una estrategia general consiste en el aislamiento durante el ataque. En la IBM se dice que cuando se detecta un ataque en la red, “desconectan la clavija”. Eso no significa que estén a salvo. Si un virus se ha diseminado durante seis meses y causa daño hoy, desconectar la clavija de la red no ayuda. Por otra parte, si el ataque no es sutil ni lento, desconectar la clavija podría ayudar. En muchas organizaciones no poseen una clavija, son 50 o más. Si va a optar por el aislamiento,

tiene que saber cómo hacerlo. Debe haber alguien que sepa dónde está la clavija y requiere un plan de contingencia en el lugar para asegurar que la clavija se pueda desconectar. En la mayoría de las grandes organizaciones actuales, desconectarse de la red global resultaría desastroso, pues no tendrían acceso a los servicios, de modo que hay una relación entre utilidad y seguridad.

Separación de la función

Respecto a la separación de investigación y desarrollo de producción, se señalan muchos de los

problemas y características de este método en la sección de control de cambios.

El disco AIDS

Es fundamental una política que no permita disquetes o cintas externos en las instalaciones, además  de requerir que se verifiquen todos los programas que ingresen en una central de distribución u otros métodos de procedimiento similares. Esto nos remite a la historia del disco AIDS.

En 1989, uno de los más grandes intentos de extorsión a gran escala se inició cuando decenas de

miles de disquetes infectados se enviaron a las personas que aparecían en la lista de correos de una revista de computación. Muchos de esos suscriptores trabajaban en empresas cuya política prohibía el uso de “disquetes externos”. A pesar del control administrativo, hubo organizaciones donde cientos de usuarios pusieron estos disquetes en sus sistemas y los infectaron. Estas empresas pagaron varios meses-hombre de esfuerzo para deshacerse del problema, porque los empleados no respetaron la política establecida.

En este caso, el perpetrador fue atrapado porque los encargados de la lista de envíos tenían un

registro de las personas que rentaban dichas listas y finalmente, por eliminación llegó al origen. Por desgracia, la captura del atacante no limitó el daño o compensó a las víctimas.

Prohibidos los discos externos

Un empleado llegó a la empresa con un disquete en la mano. El guardia de seguridad dijo: —“¿No leyó el memo? No se permite la entrada de disquetes externos”—. El empleado respondió: —“Éste no es un disquete externo, es interno. Me lo llevé a casa anoche y hoy lo traigo de regreso”—. El problema es que el empleado no comprendió lo que significaba la política de “prohibidos los discos externos”. Si va a utilizar controles administrativos y de procedimientos, debe educar a sus empleados para que sepan la importancia que tienen y por qué se establecen. Es común que esto no se haga. Se crea un reglamento sin ocuparse por explicarlo y las personas lo interpretan a su modo o lo ignoran.

Centrales de distribución

Otra técnica común es hacer que todo el software pase por una central de distribución antes de

emplearlo dentro de la empresa. Ésta es una regla sensata, aunque sólo sea para asegurar que

programas nuevos interactúen adecuadamente con el ambiente actual; no es una defensa eficaz

contra los virus desconocidos, pero es el lugar idóneo para usar la tecnología de exploración. Aun cuando no detecte virus nuevos, será eficaz contra algunos ya conocidos y tendrá un costo muy bajo porque sólo se emplea en una unidad central. Por último, tales sistemas fallan porque, en la práctica, tienen problemas ocasionales y, si es el único mecanismo de defensa en el sistema, un error puede llegar a ser desastroso. Es demasiado frágil para depender de él.

Limitación de las fuentes de información

La eliminación del tablero de avisos es económica y bastante común como procedimiento de

defensa. Algunos tableros de avisos tienen la fama de anunciar caballos de Troya, pero en la

mayoría de los casos proporcionan información valiosa y vale la pena suscribirse a ellos. Una

política común es la de “prohibido compartir”. Se darán algunos datos históricos. Ninguna

distribución legítima de software o shareware de dominio público ha contenido algún virus hasta donde se sabe, pero casi todos los principales fabricantes de software comercial han repartido un virus en una distribución de software legítima, mientras varios fabricantes de hardware han distribuido discos con sistemas operativos precargados que contenían virus. Una revista especializada en PC distribuyó varios miles de copias de un virus entre sus lectores. Un importante distribuidor europeo de software electrónico distribuyó 60 mil copias de un virus entre sus clientes porque su analizador de virus no lo detectó. Así que, si vamos a tomar una decisión firme con base en los datos históricos, debemos establecer la política de comprar shareware y software de dominio público para evitar las infecciones virales y nunca comprar software “legítimo” envuelto en celofán. Con seguridad, existen buenas razones para que el shareware y el software de dominio público nunca

hayan sido infectados por algún virus. Cuando compra shareware o software de dominio público tiene el nombre del autor, el cual está inscrito en ese software, por lo tanto tiene una muy buena razón para asegurarse de que esté bien, debido a que está en juego su reputación. Por otra parte, si trabaja para Microsoft e introduce un virus, nadie sabrá quien lo hizo y su nombre no aparecerá en el registro de derechos de autor. ¿Por qué iba a preocuparse si causa problemas? Por último, tratar de manejar la protección en un ambiente donde usted es el único que escribe un programa es muy fácil. En cambio, mantener la protección en un ambiente con miles de programadores no es tan sencillo. La probabilidad de que un virus se introduzca en un producto de Microsoft es mucho mayor que en el software de una empresa pequeña.

Los respaldos como defensa

Los respaldos a menudo se recomiendan como un aspecto importante en la defensa contra los virus y se está de acuerdo en que, sin otras defensas en la ubicación, éstos son útiles contra la mayoría de los ataques, pero no están exentos de problemas. Como se señaló anteriormente, los respaldos son un refugio seguro para los virus y ello representa un problema considerable de diseminación y limpieza, pero hay muchos otros problemas con los respaldos en el ambiente actual:

·  No siempre funcionan. Uno de los problemas principales es que los respaldos no aseguran la

conveniencia de lo que respaldan.

·  No se guardan el tiempo suficiente.

·  Actúan como refugios seguros para los virus.

Al proporcionar refugio seguro para los virus, se debe estar seguro de lo que se respalda y

consciente de que si tiene virus, éste se almacenará también. Al recuperar el respaldo, éste estará

infectado y se volverá a contagiar la computadora.

Software de prevención

Un sistema de prevención intentará parar el virus en el mismo momento en que se produzca el

ataque. Al respecto, un buen método es el de impedir el acceso al sistema a programas o usuarios que no dispongan de autorización.

Es necesario que un programa de éstos sea residente en memoria, o sea, en la RAM. De forma

constante, se dedican a controlar las interrupciones del DOS para detectar el momento en que se

produce una solicitud de actividad sospechosa. Si ésta se produce, salta inmediatamente en acción el

programa de seguridad informando de paso al usuario. Esto último se hace así, porque es posible que se trate de una operación benigna, en cuyo caso, debe ser el usuario quien decida.

Hasta hace poco, esta clase de sistemas no era de lo mejor del mundo. Por regla general

ocupaban un espacio enorme de los 640 Kb de la memoria base, lo que provocaba que muchos

usuarios prefirieran no instalar un programa vigilante.

Hoy en día, esto suele estar solucionado. Los programas generalmente ocupan no más de 20 Kb,

e incluso en algunos casos los programas residentes vienen en forma de fichero SYS, con lo que se pueden instalar como un Device en el Config.sys. De todas formas, no se ha llegado aún a la

perfección.

CONFIABILIDAD EN EL SOFTWARE DE PREVENCIÓN

Detección y erradicación de virus

4.1 Detección de virus

Los sistemas de detección comprueban el código del programa antes de ejecutarlo, de esta forma, el usuario podrá ser avisado de los posibles peligros del programa. Muchos de los programas antivirus del mercado integran ambos sistemas.

Se consideran dos sistemas de detección:

Detector antibomba. Explora archivos buscando rutinas peligrosas (órdenes de borrado de

archivos, por ejemplo).

Detector antivirus. Un virus puede dejar rastros de su actividad, ahí es donde entran en escena

esta clase de detectores. Son bastante eficaces, pues emplean algoritmos muy buenos. Existen dos tipos específicos:

a) Detectores de virus concretos

Buscan un número determinado de virus conocidos que llevan en su base de datos, por medio de

lo que se conoce como “cadenas de detección”. El virus queda desde el primer momento

identificado y se puede realizar una buena limpieza.

Inicialmente, un nuevo virus podría no ser detectado por este antivirus, pero hoy en día existen

métodos para detectar los nuevos. Además, es obligatoria la renovación constante de esta clase de programas.

b) Detectores genéricos

Vigilan el tamaño de los archivos ejecutables.

El problema es que hay virus que pueden aumentar el tamaño de un archivo sin que se note,

falseando dichos datos.

 Los programas antivirus

Inicialmente, cualquier sistema de seguridad es susceptible de ser invadido por un virus. Lo más

normal es que un buen sistema de seguridad controle de manera óptima cualquier cambio producido en los archivos ejecutables.

Lo mejor que puede hacer ante cualquier duda sobre el sistema que debe elegir, es utilizar una

copia de evaluación y elegir aquélla que mejor se desempeñe. Pero fíjese que un buen antivirus no sólo debe ser de fácil manejo para usted, requiere una cantidad considerable de opciones de

actuación y vigilancia para verificar que el programa en sí sea eficiente. Una forma válida de

averiguar esto último, es comprobando su capacidad para detectar, no todos, pero por lo menos

algún virus nuevo.

Considere lo siguiente:

·  Compruebe que el manejo y la rapidez del antivirus sea lo bastante bueno como para que

realice un “barrido” completo del disco duro, por lo menos una vez a la semana.

·  Verifique que el programa y sus archivos de datos no queden residentes, por lo tanto al alcance de cualquier virus. Lo ideal es que el programa pueda ejecutarse desde un disquete, en ese sentido no utilice ningún archivo del disco duro para su funcionamiento.

·  Compruebe que su ejecución sea exclusiva.

·  Vea que vigile la mayor cantidad posible de archivos (ejecutables, de datos, overlays e

incluso empaquetados).

·  Debe comprobar los cambios en archivos ejecutables mediante CRC's (Cvc1íc Redundancy

Checks).

Los programas antivirus se dividen en:

a) Programas de prevención. Son aquéllos diseñados para interceptar el intento de acceso de un

virus a la computadora mediante el monitoreo de la memoria, el sector de arranque y el área

de archivos de modificaciones involuntarias.

b) Programas de detección. Utilizan el proceso de identificación de un virus en la memoria, en

el sector de arranque o en el área de archivos, mostrando en pantalla el nombre del virus, si

existe alguno o bien, precisando que existe y no es conocido.

c) Programas correctivos. Son aquéllos encargados de eliminar el virus, ya sea de la memoria,

del sector de arranque o del área de los archivos.

Programas antivirus distribuidos comercialmente

·  F-Prot Professional

Integra una familia de productos encargados de rastrear, desinfectar, notificar y eliminar los

virus a nivel cliente/servidor en las plataformas DOS, Windows, Windows 95, Windows NT, OS/2 y Netware. Se caracteriza por una detección y desinfección automática de los macrovirus, virus furtivos, polimórficos y de archivo, entre otros; además añade protección en tiempo real en

cualquier plataforma o red y envía alertas virales por biper, fax, MHS Mail y SNMP a las estaciones de trabajo designadas en su red.

Asimismo F-Prot Professional para servidores bloquea el acceso de las estaciones

detectadas/infectadas con virus; al tiempo que realiza programación de tareas de rastreo y

desinfección para las horas de menos tráfico en la red.

En caso de encontrar virus, este producto despliega las instrucciones del usuario, además de que

efectúa rastreos por inactividad de la red o PC. Esta familia de productos la componen:

·  F-Prot Professional para DOS y Win 9.x.

·  F-Prot Professional para Windows 95.

·  F-Prot Professional para Windows NT.

·  F-Prot Professional para Netware.

·  F-Prot Professional para OS/2 Warp.

Compucilina de Solinfo

Es una herramienta preventiva, más que curativa, diseñada para mantener sus servidores y

estaciones de trabajo libres de virus.

Es un sistema cuyo funcionamiento no depende del virus, es decir ofrece protección contra

cualquier virus sin importar de cual se trate o de si es conocido o no.

La versión 5.1x conserva capacidades de seguridad, introducidas con las versiones anteriores;

control de ejecución de software no autorizado; control de copia no autorizada del software

protegido, diagnóstico rápido de virus en cualquier computadora con la mini-compucilina, además de propagación de revisiones periódicas en un equipo o en una red.

Con Compucilina también se pueden realizar los diagnósticos de consistencia lógica de discos

duros y el control de acceso a la información del disco duro, lo cual permite definir hasta 32

usuarios para cada computadora.

Es un sistema que no afecta el desempeño de los equipos protegidos, ni genera alarmas

innecesarias. Este producto se manifiesta cuando un virus real trata de atacar, en ese momento,

genera un reporte con una historia detallada de todos los procedimientos que se llevan a cabo.

Otras de sus características son que la instalación en redes es totalmente automática, y con el

programa disco es posible realizar diagnósticos de bajo nivel sobre los discos duros conectados a cualquier computadora.

El bloqueador de este antivirus restringe la ejecución de programas no autorizados; en tanto los

algoritmos de detección de virus se mejoraron para que fuera mucho más rápido.

La mini-Compucilina solamente detecta y elimina virus conocidos, utilizando las últimas

técnicas de antivirus tradicionales.

Con el despertador, esta función puede ser programada para que se active periódicamente y

efectúe chequeos de todos los discos de una computadora.

InocuLAN de Cheyenne. División de Computer Associates

InocuLAN antivirus para Windows 95 es una tecnología de datos desarrollada específicamente para usuarios de Windows 95 en pequeñas empresas/oficinas en el hogar.

Este producto tiene una interfaz que facilita la protección antivirus para nivel de usuario; sus

características adicionales incluyen la actualización de firmas antivirus, versiones mejoradas de

software, un monitor de detección de virus en tiempo real y un asistente de limpieza de virus.

InocuLAN también incorpora apoyo a Microsoft Office 97, recuperación de desastres en un solo

disco, una enciclopedia integrada de antivirus y apoyo para formatos encriptados y comprimidos.

Los Protection Suites mantienen libres de virus al Exchange Server y al Internet Information

Server; con ello evitan que se propaguen a través del correo electrónico, las bases de datos de

documentos o archivos bajados de Internet.

También codifica y autentifica datos sensibles para su transferencia escritorio a escritorio y

respalda datos automáticamente. Está conformada por:

·  Virus Scan. Detecta y elimina al 100% virus detectados en Internet, Intranets, macros,

archivos de e-mail y de red.

·  Protege a las PC de las applets destructivas de Java y ActiveX.

·  PC Crypto. Utiliza una tecnología para codificación a 160 bits para proteger hojas de cálculo,

mensajes de correo electrónico, documentación e información sensible a la que pueden

acceder usuarios no autorizados.

·  NetCrypto. Protege datos críticos de red, sin necesidad de administrar claves, lo que

salvaguarda el nombre del usuario, palabras claves y correos electrónicos, entre otras

cuestiones.

·  QuickBackup. Respalda datos para desktop Windows 95.

·  SecureCast. Automatiza la distribución Internet de los productos antivirus más recientes de

McAffe.

·  Bootshield. Protege la imagen del sector de arranque de la computadora, e inmediatamente

reconoce cualquier modificación subsecuente. Advierte también al usuario de la presencia de

cualquier virus en su computadora, con objeto de reiniciar su equipo y devolverlo de esa

forma a su estado original.

·  NetShield. Antivirus para servidores de red, amplía los servicios de seguridad sin arriesgar la

operación de los servidores y se puede acceder a toda su funcionalidad desde una consola

Virus informático

bajo Windows. Una vez detectado algún archivo infectado, éste es marcado, aislado y

eliminado, o simplemente se niega el acceso del virus, incluyendo macros de Word y Excel,

sector de arranque, etcétera.

·  WebScan. Provee protección a los servicios más comunes de Internet y correo electrónico.

Permite la detección de virus genéricos y desconocidos del tipo de sector de arranque.

·  WebShield. Detiene los virus en el Getway.

·  GroupShiel. Antivirus para servidores de Exchange y Notes.

Norton Antivirus de Symantec

Norton Antivirus (NAV) ofrece protección automática contra virus para Windows 95, Windows

NT, Windows 3.1 y estaciones de trabajo DOS. Esta solución resguarda todos los puntos de entrada de virus, incluyendo discos floppy compartidos, la Internet, anexos de e-mail y redes. Ofrece a los usuarios detección y reparación de virus, además de la protección contra virus desconocidos. Norton Antivirus emplea tecnología heurística para analizar programas, detectar virus nuevos y desconocidos, por consiguiente, permite al usuario reparar el archivo infectado de inmediato.

La función Live Update de esta solución actualiza a los usuarios con las definiciones de virus

más recientes, las cuales pueden programarse con anticipación.

ThunderByte de Microasist

ThunderByte elimina virus de archivos, sector de arranque y macro-virus para plataformas DOS, Windows 3.xx, Windows 95 y Windows NT, además de proteger los puntos de entrada para virus, incluyendo discos flexibles, redes, Internet y correo electrónico. Utiliza 4 Kbytes de memoria. Este antivirus se basa en siete métodos de detección, los cuales prevendrán que ningún virus afecte la información y funcionamiento de la PC:

·  Análisis heurístico. Consiste en comparar una secuencia de código ejecutable en memoria,

archivos o sector de arranque. Detecta virus conocidos y desconocidos.

·  Reconocimiento de firmas. Cuenta con una base de firmas o huellas digitales suficiente, para

detectar a la gran mayoría de virus.

·  Análisis de integridad. ThunderByte indica si un archivo ha cambiado en relación con su

tamaño, atributos, uso de memoria.

·  Desencriptación genérica.

·  Detección automática.

·  Creación de bitácora.

·  Detección de macro–virus.

·  Dentro de los procesos de corrección–prevención, ThunderByte contempla tres aspectos:

a) Limpieza de archivos.

b) Protección del sector de arranque.

c) Detección y limpieza automática de macro-virus.

PC-cilling97

Es un sistema antivirus para Windows 95 e Internet, el cual incluye una protección de virus

provenientes de servicios on line, como BBS e Internet, además de que utiliza la característica de monitor inteligente.

PC-cilling97 posee la habilidad de ajustar automáticamente el nivel de protección en función de

la utilización de la PC. Este producto incorpora la tecnología que detecta y analiza virus

desconocidos, polimórficos y aquéllos que incluyen técnicas de ocultamiento. También descubre virus antes de que puedan infectar archivos de sistema.

Enterprice Versión PC-cillin 4 en 1

Creado para soluciones antivirus en grandes corporaciones, integra en forma automática las

plataformas DOS, Windows 3.x, Windows 95 y Windows NT Workstation; también cuenta con dos módulos principales: el administrador y el cliente; el primero se instala directamente en el servidor Netware o Windows NT Server y el módulo cliente se ubica en las estaciones de trabajo. Una vez instalado en la estación del usuario, PC-cillin realiza rastreos de virus en tiempo real, verificando la existencia de virus conocidos o desconocidos.

Además de la detección en tiempo real, cada cliente puede ejecutar rastreos manuales en

cualquier momento o a intervalos preestablecidos por el administrador. Después de haber instalado la utilería de administración en el servidor, los clientes únicamente deben conectarse a la red para que se instale la protección en su sistema.

Server Proterct NT

Es la solución antivirus para proteger la información de servidores Windows NT. Realiza el

chequeo automático del tráfico entrada/salida del servidor, además de que rastrea información

almacenada en discos compartidos.

Entre las funciones que incluye están las siguientes: genera automáticamente mensajes de alerta

configurables ante la detección de virus; rastrea archivos en distintos formatos de compresión;

notifica al administrador de la red ante la detección de virus y posee una variedad de métodos de

alerta. Server Proterct NT puede configurarse para rastrear discos, directorios y archivos en cualquier momento. Permite la actualización automática en forma programada de todos los servidores a partir de un servidor actualizado, mediante FTP de Internet, conexiones a una BBS local o a través de disquete.

Server Proterct NT protege la información de servidores Novell Netware en una organización.

Dentro de sus principales características destacan:

·  Administración de dominio centralizada.

·  Administración remota.

·  Rastreo de virus en tiempo real.

Scan Mail for Microsoft Exchange

Detecta y elimina en tiempo real, virus en archivos adjuntos al correo electrónico e-mail, en el momento que lleguen a cualquier mailbox.

Scan Mail for Lotus Notes

Trabaja en tiempo real, detectando virus en archivos asociados al e-mail de Lotus Notes.

InterScan WebProtect

Es una solución antivirus y de seguridad diseñada para evitar infecciones de virus a través del

servidor Microsoft Proxy. Este producto bloquea los Java Applets y Active X para suspender la

ejecución de códigos peligrosos, para ello emplea un rastreo selectivo de archivos .JPG, GIF, JPEG, audio en tiempo real, animaciones, etcétera.

Dr. Salomon’s Antivirus Toolking

Los productos de Dr. Salomon’s Antivirus ofrecen diferentes herramientas que pueden ser

utilizadas para generar una solución a la medida de sus necesidades. Cuenta con los siguientes

anillos de protección:

a) Nivel 1. Protección para terminales. Protege entradas de disquetes, archivos bajados de

Internet, CD-ROM’s y cualquier otro medio de almacenamiento. Esta solución soporta las

plataformas Windows 3.x/DOS, Windows 95, Windows NT Workstation, OS/2 y

Mac/System 7, mientras que los componentes son:

·  VirusGuard. Protección residente para MS-DOS en tan solo 9 Kb.

·  WinGuard. Repara de forma automática en cuanto detecta un virus y lo erradica, también

avisa al administrador de la red si encontró virus.

·  FindVirus. Integra escáner bajo demanda para virus polimorfo y encriptado.

·  ViVerify. Incluye la función checksummer.

·  Scheduler. Programador de eventos.

·  Enciclopedia de Virus.

·  Magic Bullet. Disco con su propia rutina de arranque que puede emplearse para casos de

emergencia, permitiendo al usuario arrancar en limpio y evitar una posible infección.

b) Nivel 2. Protección para servidores. Monitorea las transacciones de archivos entre los clientes

y el servidor, limpiando de forma automática y transparente para el usuario cualquier archivo

que se escriba al servidor. Las plataformas soportadas son: Novell Netware, Windows NT

Server, Dec Alpha NT, SCO UNIX y Sun Spare Solaris.

·  Dr. Salomon’s Antivirus Toolkit para Novell Netware es un sistema formado por 2NLMs

nativos, FAM utilizado para llevar a cabo la limpieza de los archivos de forma

transparente, mientras el usuario escribe o lee los archivos del servidor.

·  Salomon’s Antivirus Toolking para Windows NT Server incluye NT Guard, un sistema

similar a GinWard, además está diseñado para revisar las transacciones de archivos.

c) Nivel 3. Protección para Groupware, además de limpieza en e-mail en forma automática y

transparente.

Caso de virus a nivel mundial.

WannaCry, también conocido como WanaCrypt0r 2.0, es un programa dañino de tipo ransomware. En septiembre de 2018, el Departamento de Justicia de los Estados Unidos inculpó al norcoreano Park Jin Hyok de ser el creador de WannaCry y haber acometido el ataque informático de alcance mundial en 2017.

El 12 de mayo de 2017 entre las 8 y las 17:08 horas UTC³​ se registró un ataque a escala mundial que afectó a las empresas Telefónica​, Iberdrolay Gas Natural, entre otras compañías en España,⁶​ así como al servicio de salud británico, como confirmó el Centro Nacional de Inteligencia.​ La prensa digital informaba aquel día que al menos 141 000 computadores habían sido atacados en todo el mundo.

Los expertos sostienen que WannaCry usó la vulnerabilidad EternalBlue, desarrollada por la Agencia de Seguridad Nacionalestadounidense y filtrada por el grupo The Shadow Brokers, que permite atacar computadores con el sistema operativo Microsoft Windows no actualizados debidamente. La compañía Microsoft había comenzado a distribuir actualizaciones de seguridad al día siguiente de conocerse esta vulnerabilidad, el 10 de marzo de 2017, ​ a través de Windows Update, pero sólamente para las versiones de Windows posteriores a Windows Vista. El 13 de mayo de 2017, ante la supuesta gravedad del ataque, publicó un parche separado para Windows 8, Server 2003 y XP. Muchos computadores que no tenían aplicadas las actualizaciones de seguridad MS17-010 de marzo de 2017 quedaron gravemente afectados, con sus archivos cifrados y mostrando un mensaje en pantalla que exigía un rescate de 300 dólares en bitcoins a cambio de descifrar los archivos.

En realidad, un experto de Reino Unido evitó en gran medida la expansión del ciberataque global. El autor del blog MalwareTech estaba estudiando el programa dañino cuando se dio cuenta de que el mismo intentaba conectarse a un dominio no registrado: si no lo lograba, cifraba el equipo; si lo lograba, se detenía. ​ Una vez que este experto en seguridad registró el dominio, a las 17:08 UTC del 12 de mayo, cesó el ataque. Todas las medidas urgentes que se tomaron a partir de esa hora fueron prácticamente innecesarias.

Un análisis del malware ha sido publicado por Microsoft.

JOEL S. V.